Reveal URLs — Uživatelská příručka

Reveal URLs je malé rozšíření prohlížeče (a doplněk pro Thunderbird), které vám ukáže, kam odkaz ve vašem e-mailu skutečně vede, takže dokážete rozpoznat phishingový odkaz dřív, než na něj kliknete.

Tato příručka vysvětluje, jak Reveal URLs nainstalovat a jak jej používat. Pro to, jak se nakládá s vašimi daty, viz zásady ochrany soukromí; pro technický přehled toho, jak je rozšíření sestaveno, viz přehled architektury.

Našli jste chybu, odkaz, který byl označen chybně (nebo přehlédnut), nebo webmailového hostitele, který by měl být podporován? Nahlaste to prosím na issue trackeru na Codebergu.

Obsah

• Co dělá a proč
• Podporované prohlížeče a e-mailový klient
• Instalace
• Používání
• Doplňky pro Outlook a Gmail
• Jazyky
• Soukromí
• Řešení potíží
• Licence a zdrojový kód

Co dělá a proč

Phishingový e-mail skrývá nepřátelský cíl za důvěryhodně vypadající text odkazu. Někdy jde o napodobeninu hostitele: text zní paypal.com, zatímco odkaz míří na paypa1.com. Často je to rafinovanější, s přesměrováním přes sledovací prvek nebo přesměrovač, takže místo, kam se dostanete, se vůbec nepodobá značce uvedené v textu.

Poznámka: Tento snímek obrazovky zobrazuje podvodný phishingový e-mail vydávající se za Českou poštu. Česká pošta není spojena s Reveal URLs ani jej nepodporuje.

Reveal URLs čte každý odkaz ve zprávě, kterou právě čtete, a zobrazuje vám URL, na kterou míří. Když se hostitel uvedený v textu odkazu neshoduje s hostitelem, na kterého odkaz skutečně míří, Reveal URLs to označí, takže je neshoda zřejmá dřív, než kliknete.

V rozšíření prohlížeče a v doplňku pro Thunderbird se vše odehrává ve vašem vlastním zařízení a nic se nepřenáší. Ve všech formách Reveal URLs neposílá žádná vaše e-mailová data nám ani žádné třetí straně — neexistuje žádná analytika ani sledování. (Formy se liší v tom, kde běží a jak je obsluhován kód podokna Outlooku; viz oddíl Soukromí a zásady ochrany soukromí pro úplné podrobnosti.)

Podporované prohlížeče a e-mailový klient

Reveal URLs běží na:

• Google Chrome
• Microsoft Edge
• Opera
• Mozilla Firefox
• Mozilla Thunderbird (desktopový e-mailový klient)

Sestavení pro Safari zatím nebylo vydáno; je plánováno pro pozdější fázi.

Na cílech prohlížeče Reveal URLs anotuje odkazy ve vašem webmailu. V Thunderbirdu anotuje odkazy v e-mailu, který právě čtete, přímo v e-mailovém klientovi.

Instalace

Z obchodu vašeho prohlížeče nebo e-mailového klienta (doporučeno)

Nainstalujte Reveal URLs z obchodu pro svůj prohlížeč nebo e-mailového klienta. Nabídky pro Chrome, Edge, Firefox a Thunderbird jsou aktivní; Opera spouští sestavení pro Chrome a samostatná nabídka pro Operu je stále na cestě:

• Chrome — Internetový obchod Chrome
• Edge — Doplňky Microsoft Edge
• Opera — nainstalujte verzi pro Chrome z Internetového obchodu Chrome; samostatná nabídka pro Operu se připravuje
• Firefox — Doplňky Firefoxu (AMO)
• Thunderbird — Doplňky Thunderbirdu (ATN)

Načtení vlastního sestavení (vývojáři a rané testování)

Pokud jste Reveal URLs sestavili ze zdrojového kódu, můžete rozbalené sestavení načíst přímo. Každý cíl se sestavuje pomocí příkazu make a vzniká v adresáři dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Poté načtěte výslednou složku:

• Chrome — otevřete chrome://extensions, zapněte Režim pro vývojáře, klikněte na Načíst rozbalené a vyberte dist/chrome.
• Edge — otevřete edge://extensions, zapněte Režim pro vývojáře, klikněte na Načíst rozbalené a vyberte dist/edge.
• Opera — otevřete opera://extensions, zapněte Režim pro vývojáře, klikněte na Načíst rozbalené a vyberte dist/opera.
• Firefox — otevřete about:debugging, zvolte Tento Firefox, klikněte na Načíst dočasný doplněk a vyberte libovolný soubor uvnitř dist/firefox (například jeho manifest.json). Dočasný doplněk se odstraní při restartu Firefoxu.
• Thunderbird — nainstalujte dočasný doplněk z dist/thunderbird stejným způsobem (přes Nástroje → Vývojářské nástroje → Ladit doplňky → Načíst dočasný doplněk).

Stránka nastavení se otevře automaticky při první instalaci rozšíření.

Používání

Rovnou po instalaci Reveal URLs anotuje odkazy ve zprávách u vestavěných poskytovatelů — bez jakéhokoli nastavování:

• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook na webu / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)

Anotace je omezena na tělo zprávy, takže vlastní rozhraní aplikace — její postranní panel, okno pro psaní a panely nástrojů — zůstává nedotčené. V Thunderbirdu je pokryt celý vykreslený e-mail.

Dva režimy zobrazení

Jak se skutečná URL zobrazuje volíte pod Zobrazit URL na stránce nastavení:

• Vložené — skutečná URL se zobrazuje na vlastním řádku, těsně nad textem odkazu. Toto je výchozí nastavení.
• V popisku odkazu (title) — skutečná URL se umístí do popisku odkazu, takže se objeví, když nad odkaz najedete kurzorem.

Zvýraznění neshod

Když se hostitel uvedený ve viditelném textu odkazu neshoduje s hostitelem, na kterého odkaz skutečně míří, Reveal URLs to označí jako neshodu. Porovnání se provádí na registrovatelné doméně, takže poctivá poddoména jako mail.example.com pro example.com se neoznačí, zatímco napodobenina jako paypa1.com pro paypal.com ano.

• Ve vloženém režimu se neshoda zobrazí ve vámi zvolené barvě neshody a tučně.
• V režimu popisku (title) se vedle odkazu přidá výrazný odznak ⚠ URL mismatch.

Toto řídí dvě související nastavení:

• Zvýraznit neshodující se odkazy zapíná nebo vypíná zdůraznění neshody.
• Anotovat pouze neshodující se odkazy ponechá poctivé odkazy zcela nedotčené, takže se odhalí jen ty podezřelé.

Tlačítko na panelu nástrojů

V Chromu, Edgi, Opeře, Firefoxu a Thunderbirdu je ikona Reveal URLs na nástrojové liště rychlý přepínač zapnuto/vypnuto — kliknutím přepnete anotaci. Když je rozšíření vypnuté, na ikoně se objeví odznak OFF a jeho popisek vám řekne, zda jej kliknutí zapne, nebo vypne. V prohlížečích se změna projeví ve všech otevřených kartách najednou; v Thunderbirdu se použije na další zprávu, kterou otevřete.

(V Thunderbirdu tlačítko zobrazuje jen svou ikonu, takže zůstává kompaktní v sjednocené nástrojové liště. Reveal URLs můžete také zapínat a vypínat přepínačem Povolit na stránce nastavení.)

Stránka nastavení

Stránka nastavení obsahuje všechny možnosti. Otevřete ji ze stránky rozšíření svého prohlížeče (například Podrobnosti → Možnosti rozšíření), nebo se otevře automaticky při první instalaci.

• Povolit Reveal URLs — hlavní vypínač, úplně nahoře na stránce. Projeví se okamžitě, bez nutnosti ukládat zbytek formuláře.
• Jazyk zobrazení — zvolte jazyk, ve kterém se stránka nastavení zobrazuje. Ve výchozím nastavení sleduje jazyk vašeho prohlížeče a vrací se k angličtině; vyberte jiný ze seznamu, chcete-li jej přepsat. Vaše volba se projeví okamžitě, zapamatuje se pro příště a ukládá se pouze na tomto zařízení (nikdy nemění zbytek vašich nastavení).
• Zobrazit URL — zvolte vložený režim nebo režim popisku (title) (viz výše).
• Zvýraznit neshodující se odkazy — zapněte nebo vypněte zdůraznění neshody.
• Barva neshody — CSS barva použitá pro označený odkaz (například red, #cc0000 nebo rgb(200, 0, 0)). Výchozí je červená.
• Barva shody — barva zobrazené URL na poctivých (neshodných) odkazech (například black nebo #1a1a1a). Výchozí je neutrální velmi tmavě šedá (#1a1a1a), zvolená tak, aby barva nenaznačovala, že odkaz byl zkontrolován.
• Anotovat pouze neshodující se odkazy — ponechte poctivé odkazy nedotčené.
• Ignorovat tyto hostitele — seznam názvů hostitelů, které se mají zcela přeskočit, jeden na řádek. Poddomény uvedeného hostitele se přeskakují také.
• Maximální zobrazená délka URL — dlouhé URL se za tímto počtem znaků zkrátí, přičemž hostitel zůstane viditelný. Povolený rozsah: 20 až 2000.
• Velikost / tloušťka písma zobrazené URL a Velikost / tloušťka písma varovného odznaku — volitelná typografická přepsání; ponechte prázdné pro zachování výchozích hodnot.

Kromě hlavního přepínače Povolit a ovládacích prvků Aktivní weby (které se projeví okamžitě) se změny ukládají tlačítkem Uložit nastavení.

Aktivní weby — přidání vlastního webmailu

Oddíl Aktivní weby, v horní části stránky nastavení, uvádí stránky, na kterých Reveal URLs běží, a kontejner, který obsahuje tělo každé zprávy.

Každý řádek zobrazuje:

• vzor shody webu (například https://mail.example.com/*);
• přepínač Povoleno;
• selektor těla zprávy (CSS selektor pro kontejner, který Reveal URLs anotuje), který můžete upravit;
• přepínač Podrámce, pro weby, jejichž tělo zprávy je vykresleno uvnitř iframe;
• tlačítko Odstranit (pouze pro vaše vlastní weby).

Vestavěné poskytovatele (Gmail, Outlook a Proton) lze vypnout a přesměrovat, ale nelze je odstranit.

Chcete-li přidat vlastní webmailový web:

1. Pod Přidat web zadejte URL shody — vzor shody jako například https://mail.example.com/*.
2. Zadejte Selektor těla zprávy — CSS selektor pro kontejner, který obsahuje tělo zprávy, například .message-body.
3. Pokud je tělo zprávy vykresleno uvnitř podrámce, zaškrtněte Spouštět také uvnitř podrámců.
4. Klikněte na Přidat web. Váš prohlížeč požádá o oprávnění k přístupu na tento web; udělte jej. Web se přidá až poté, co oprávnění udělíte.

Změny zde se projeví okamžitě. Odstranění webu, který jste přidali, také odvolá jeho oprávnění, takže Reveal URLs k němu přestane přistupovat.

Thunderbird (a další e-mailoví klienti). Thunderbird již zobrazuje každou zprávu, kterou čtete, ať už u kteréhokoli poskytovatele, takže nepotřebuje seznam podle hostitelů. Oddíl Aktivní weby se proto na stránce nastavení Thunderbirdu nezobrazuje — objeví se pouze hlavní přepínač, jazyk zobrazení, režim zobrazení, barvy, písma a seznam ignorovaných. Jakékoli nastavení aktivních webů, které jste mohli nastavit v prohlížeči, zůstává nedotčeno: uložení nastavení Thunderbirdu jej nikdy nevymaže.

Doplňky pro Outlook a Gmail

Vedle rozšíření prohlížeče a doplňku pro Thunderbird přichází Reveal URLs jako nativní doplněk pro dvě poštovní aplikace, na které rozšíření prohlížeče nedosáhne: doplněk pro Outlook a doplněk pro Gmail. Oba používají stejnou detekci odkazů jako rozšíření, takže odhalují stejné URL a označují stejné napodobené hostitele.

Jediný rozdíl je v tom, jak zobrazují svá zjištění. Rozšíření prohlížeče anotuje odkazy na místě — obarvuje URL nad každým odkazem nebo vedle něj. Frameworky Outlooku a Gmailu neumožňují doplňku měnit vykreslenou zprávu, takže místo toho každý doplněk zobrazuje postranní panel (Outlook) nebo kartu (Gmail) se seznamem nalezených odkazů. U každého odkazu zobrazuje viditelný text, cílovou URL a registrovatelného hostitele a označuje neshodu, když viditelný text uvádí jinou registrovatelnou doménu, než na kterou odkaz skutečně míří.

• Doplněk pro Outlook — podokno úloh, které čte otevřenou zprávu a analyzuje ji ve vašem vlastním zařízení; žádná e-mailová ani zprávová data se nikam neposílají. Jeho kód podokna úloh (HTML, JavaScript, CSS a ikony) se načítá z https://www.reveal-urls.eu přes HTTPS, jako když otevřete kteroukoli webovou stránku. Dosáhne na Outlook na webu, ve Windows, na Macu, v iOS a Androidu a na Outlook.com.
• Doplněk pro Gmail — karta v postranním panelu Gmailu. Otevřete zprávu, poté klikněte na ikonu Reveal URLs v pravém postranním panelu a uvidíte její odkazy: Gmail kartu sám neotevře, ale pokud panel necháte otevřený, obnovuje se, jak přecházíte mezi zprávami. URL každého odkazu se zobrazuje neutrálně tmavě šedě pro poctivý odkaz a červeně pro napodobeninu. Dosáhne na Gmail na webu, v Androidu a iOS. Na rozdíl od ostatních forem běží doplněk pro Gmail na serverech Googlu (tak fungují doplňky pro Gmail): zpráva, kterou otevřete, se tam přečte a zkontroluje, pokaždé když ji otevřete, a neuchovává se. Viz zásady ochrany soukromí pro to, k čemu každá forma přistupuje a co ukládá.

Oba doplňky budou distribuovány prostřednictvím svých obchodů s aplikacemi — doplněk pro Outlook přes Microsoft AppSource, doplněk pro Gmail přes Google Workspace Marketplace. Publikace čeká; přímé instalační odkazy zde budou přidány, jakmile bude každá nabídka aktivní.

Jazyky

Reveal URLs je k dispozici v angličtině a mnoha dalších jazycích.

• Stránka nastavení sleduje jazyk vašeho prohlížeče automaticky a vrací se k angličtině, když váš jazyk není jedním z výše uvedených. Kdykoli jej můžete přepsat přepínačem Jazyk zobrazení poblíž horní části stránky; vaše volba se zapamatuje na tomto zařízení (viz Stránka nastavení).
• Tento web (domovská stránka a tyto stránky dokumentace) rovněž detekuje jazyk vašeho prohlížeče a nabízí přepínač jazyků v záhlaví. Stránky příručky a soukromí jsou k dispozici přeložené; kde stránka zatím nemá překlad, zobrazuje se v angličtině.

Text mimo angličtinu je strojově přeložený a čeká na lidskou revizi, takže se fráze může občas číst neobratně; význam má odpovídat anglickému originálu. Pokud narazíte na chybný překlad, otevřete prosím issue na issue trackeru na Codebergu.

Soukromí

Reveal URLs neposílá žádná vaše e-mailová ani zprávová data nám ani žádné třetí straně, v žádné ze svých forem — neexistuje žádná analytika ani sledování. Jak a kde se práce odehrává, závisí na formě:

• Rozšíření prohlížeče a doplněk pro Thunderbird pracují zcela ve vašem vlastním zařízení a nic nepřenášejí: čtou text odkazu, URL a barvy stránky, jak se stránka vykresluje, a nikdy je neukládají ani neposílají.
• Doplněk pro Outlook analyzuje otevřenou zprávu ve vašem vlastním zařízení a neposílá žádná e-mailová ani zprávová data nikam; jeho kód podokna úloh (HTML, JavaScript, CSS a ikony) se načítá z https://www.reveal-urls.eu přes HTTPS, jako když otevřete kteroukoli webovou stránku.
• Doplněk pro Gmail běží na vlastních serverech Googlu (tak fungují doplňky pro Gmail): otevřená zpráva se tam přečte a zkontroluje, pokaždé když ji otevřete, a neuchovává se.

Jediné, co se ukládá, jsou vaše vlastní nastavení (například povoleno/zakázáno, režim zobrazení, barvy, velikosti písma, váš seznam ignorovaných a jakékoli weby, které jste přidali), uchovávaná v úložišti vašeho prohlížeče, Outlooku nebo Googlu pro jednotlivé uživatele a nikdy se neposílají nám.

Viz zásady ochrany soukromí pro úplné podrobnosti.

Řešení potíží

Odkaz se neodhaluje.

• Zkontrolujte, že je Reveal URLs zapnutý — ikona na panelu nástrojů nesmí zobrazovat odznak OFF a přepínač Povolit Reveal URLs na stránce nastavení musí být zapnutý.
• Zkontrolujte, že je web pokrytý. Vestavění poskytovatelé (Gmail, Outlook, Proton) fungují rovnou; jakýkoli jiný webmail je nutné přidat pod Aktivní weby s jeho URL shody a selektorem těla zprávy.
• Zkontrolujte selektor těla zprávy. Pokud neodpovídá kontejneru, který obsahuje tělo zprávy, odkazy uvnitř tohoto kontejneru se neodhalí.
• Vezměte na vědomí, že odkazy na kotvy v rámci stránky a odkazy používající jiná schémata než http/https (například mailto:) se záměrně přeskakují — stejně jako hostitelé na vašem seznamu Ignorovat tyto hostitele.

Vestavěný poskytovatel po přepracování přestal fungovat.

Poskytovatelé webmailu čas od času mění značkování svých stránek. Pokud selektor vestavěného poskytovatele po takové změně již neodpovídá, můžete jej opravit sami: v Aktivních webech upravte selektor těla zprávy tohoto poskytovatele na nový kontejner.

URL v popisku se nezobrazuje.

V režimu popisku (title) se skutečná URL umístí do popisku odkazu, takže se objeví jen tehdy, když nad odkaz najedete kurzorem. Pokud byste raději viděli URL bez najetí, přepněte Zobrazit URL do vloženého režimu.

Licence a zdrojový kód

Reveal URLs je svobodný software, licencovaný pod GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Zdrojový kód: https://codeberg.org/Magentron/reveal-urls
• Technický přehled: Architektura
• Další čtení o phishingu odkazů: Email link phishing: your app should always show the URL